JALの不正アクセスで予約情報に影響：約9万2,000人の対象範囲と公式確認・詐欺対策

「JALから情報漏えいの連絡が来たけれど、本物なのか」「自分の予約やマイルは大丈夫なのか」。不正アクセスのニュースを見たとき、最初に困るのは、何が起きたのかと、今すぐ何をすべきかを切り分けることです。特に、予約番号や氏名を知っている相手から連絡が来ても、それだけでJALからの正規の案内とは判断できません。

日本航空（JAL）は2026年10月28日、予約・発券や搭乗手続きに使う旅客サービスシステムの委託先、Amadeus IT Group, S.A.（アマデウス社）のシステムへの不正アクセスについて公表しました。JALと日本トランスオーシャン航空（JTA）の一部予約情報に、外部から参照された形跡があったというものです。ここでは同日付の公式発表を基に、確認済みの事実と、利用者が安全に取れる行動を整理します。

JALの不正アクセスで何が起きた？

JALによると、2026年10月23日にアマデウス社から、不正アクセスによって顧客の予約情報の一部が外部から参照された形跡があったとの報告を受けました。JALが10月28日に公表した対象人数は合計約9万2,000人です。

JALが示した「外部から参照された形跡がある期間」は2023年8月10日から2026年9月23日です。これはその期間の全利用者が対象という意味ではなく、該当する予約記録の一部についての説明です。過去にJAL便を利用しただけで、自動的に影響対象と決まるわけではありません。

同社は、クレジットカード番号と各種パスワードの漏えいはないと説明しています。また、アマデウス社は必要なセキュリティ対策を完了し、発表時点で情報の不正使用は確認されておらず、運航への影響もないとしています。ただし、これは今後届くメールや電話が安全だと保証するものではありません。

一次情報はJAL公式「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」（2026年10月28日）で確認できます。影響範囲や対応が更新される可能性があるため、疑問が残る場合はこのページの最新記載を優先してください。

自分が対象かどうか、どこで確かめる？

1．メールのリンクではなく、JAL公式サイトから確認する

まず、ブラウザのアドレス欄に自分で「jal.co.jp」と入力するか、日頃使っている公式アプリからJALのお知らせを確認します。検索結果の広告やSNSの投稿、届いたSMSのリンクを情報源にしないことが大切です。「確認期限が今日まで」「補償金の受け取りにカード登録が必要」など、急いで入力を促す文面にも注意してください。

2．対象者への個別案内と専用窓口を確認する

JALは、対象となる顧客に今後個別に連絡し、偽メール・不審電話・偽サイトなどへの注意喚起を含む必要な対応を行うと発表しています。連絡がまだ来ないことだけで「対象外」とは断定できません。予約履歴がある人や、氏名・連絡先などに関して具体的な懸念がある人は公式の専用窓口で確認しましょう。

• 国内から：0120-25-6050／03-4332-7280
• 海外から：+81-3-4332-7280
• 受付開始：2026年10月29日（木）
• 受付時間：日本時間10:00〜17:00（JST、UTC+09:00）、土日祝日を除く

番号は上記のJAL公式発表に掲載されているものです。今後変更されることもあるため、電話をかける前に公式ページで再確認してください。突然かかってきた電話で名乗られた窓口番号にそのまま折り返すのは避けましょう。

3．予約・マイルの状況も自分で点検する

JALの正規のサイトやアプリにログインできる場合は、予約内容、登録メールアドレス、マイル残高や交換履歴などに身に覚えのない変更がないか確認します。これは今回の不正アクセスでマイルの不正利用が判明したという意味ではなく、一般的なアカウント保護のための点検です。違和感があれば画面を保存し、公式窓口に相談してください。

JALを装った偽メール・電話をどう見分ける？

今回の発表で確認された情報には予約番号や搭乗日などが含まれています。こうした詳細を知っている相手から「予約の再確認」「払い戻し手続き」と言われると、信用してしまうかもしれません。しかし、実際の予約情報と一致していても、連絡元の本人確認にはなりません。

JALはグループを装った不審メール・電話・偽サイトへの注意喚起で、偽のJALマイレージバンクログイン画面や、予約完了を装ったメールなどを例示しています。JAL名義のメッセージでクレジットカード番号、暗証番号、JMBお得意様番号などを求めるリンクへ誘導されたら、入力しないでください。

• 本文のURLを開かず、公式サイトを自分で開いて同じ案内があるか確かめる。
• 送信者の表示名やロゴだけを信用しない。メールアドレスが似ていても偽装の可能性がある。
• 「本人確認のため、ワンタイムパスワードを教えて」と言われても応じない。
• 電話・SMS・SNSで金銭の支払い、遠隔操作アプリの導入、パスポート画像の送信を求められたら、いったん連絡を切る。
• 不審な連絡は、発信元番号ではなくJAL公式サイトに記載された連絡先から確認する。

すでにリンクを開いた、情報を入力した場合は？

リンクを開いただけの場合

そこで直ちに情報漏えいが確定するわけではありません。個人情報を入力したか、ファイルをダウンロードしたか、アプリをインストールしたかを確認しましょう。不審なファイルを開いたりアプリを入れたりした場合は、端末のセキュリティ機能を更新して検査し、必要に応じて専門の相談窓口へ連絡します。

JMBのID・パスワードやワンタイムパスワードを入力した場合

偽サイトに認証情報を入力してしまったときは、メール内リンクを再利用せず、JAL公式サイトからログインパスワードを速やかに変更してください。同じパスワードを使っている他サービスも変更し、メールアカウントのパスワードや二段階認証、転送設定も確認します。JALはログインアラートと不審なログインへの対処で、メールアカウントも点検するよう案内しています。

今回のアマデウス社の事案ではパスワード漏えいは報告されていません。そのため、全会員のパスワードが流出したかのように受け取る必要はありません。一方、偽サイトに自ら入力した場合や身に覚えのないログインがある場合には、今回の漏えい範囲とは別に速やかな対処が必要です。

カード情報や本人確認書類を渡してしまった場合

偽サイトにカード番号などを入力した場合は、カード会社に直接連絡し、利用明細の確認や利用停止・再発行の要否を相談してください。パスポート番号などが対象に含まれる可能性があり、具体的な悪用が心配な場合は、まずJALの専用窓口で自身の対象情報を確認します。パスポートの再発給などは一律に必要と決めつけず、渡航予定や状況を踏まえて旅券窓口にも相談してください。

情報の種類ごとの対処は、IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」（2026年10月26日）でも確認できます。

今回の事案と、JALサイトの一部機能停止は同じ話？

JALは別途、2026年10月26日付で、PHPの重大な脆弱性を受けた予防措置として、一部のWebページやサービスを一時停止し、順次再開していると案内しています。これについては予約・発券・搭乗関連サービスは通常どおり利用できると説明しています。

一方、10月28日公表の不正アクセスは、委託先アマデウス社の旅客サービスシステムに関するものです。二つの発表の原因や関連性が同一だとは公式には説明されていません。見出しだけで混同せず、JALのサービス一部停止・再開のお知らせと、それぞれの発表日・対象サービスを確認してください。

最後に何を確認すれば安心につながる？

対応後は、（1）JALの公式発表を直接確認した、（2）不審メールやSMSのリンクから個人情報を入力していない、（3）公式画面で予約・マイル・登録情報に異常がないか見た、（4）必要な場合は正規の窓口へ問い合わせた、という四点を確認します。万一、偽サイトに情報を入力した場合は、該当するパスワード変更やカード会社への相談まで済ませたかも点検してください。

2026年10月28日のJAL発表時点では、影響人数、外部参照の形跡があった情報、対応窓口などが示されていますが、すべての利用者について個別の影響が確定したわけではありません。慌てて届いた連絡を信じるのではなく、JAL公式発表と正規の問い合わせ先で確認し、必要な対策だけを確実に行うことが大切です。